来年は、10回目の記念ですというコメントがなされて、また、来年もあいましょうということで解散。来年のテーマは、発表されませんでした。ペーパーに載るくらいの論文がかけるといいなあとか思ったりします。広場に遊びに行ったら、ガールズバンドがライブをやっていました。寒かったので、きれいな脚は、コートで隠されていました。ターミナルDから、ヘルシンキに向かいます。午後の部は、法律が終わると、あとは、法律がなくなるので、ポリシのセッションに移動です。Societyのパネルディスカッションです。Battlespace」です。NATOだから、仕方がないわけですが、CyCONの最大の課題は、ミリタリ・アプローチの限界がなかなか議論されないということかな、と思います。日本にいるよりは、国際的には、「有形力行使に結びつくサイバー作戦」のコントロールというのは、きわめて大きい課題であることは、わかるのですが、そのような有形的な結果をもたらすのが、決して容易ではないというのが、なかなか、会議の中で、共有されていないような気がします。この「Battlespace」という用語は、そのような課題を明らかにしているようにおもえました。ウイリアム斎藤さんは、日本の対応を述べて、あと、各国のポリシの話のご紹介でした。そのあと、議論は、国際法の有効性に移ってきました。この点は、国際法の世界の人にとって、国際法も、法であることは、当然なのです(確かに、以前から、議論はありますが)が、外の人から、何かいわれてもなあ、という感じで、あまり集中できなかったのが、本当のところです。日本と「Battlespace」との関係だと、どうしても、国内法としての憲法との関係、統一的な諜報組織の不整備などが議論されるべきだったような気もしますが、世界的には、そこら辺は、あまりにも、ささいな問題と認識されるのでしょうかね。潜水艦があったりとか大砲の展示があったりとかです。あと、アトラクションとしてのコーラスグループも登場です。日本グループで話したり、国際法の若手の先生たちと話をしたりしました。Codeblueにおいでとかもいっぱいいってきました。あとは、二次会までいきました。二次会では、日本のアニメの話とかをしたりした記憶があります。Cyberspace”という法律セッションです。Reality’というタイトルで話をしました。GGEのサポートだそうです。Day3の午後から、会議をタリンで開くということで、関係者が、CyCONと掛け持ちです。世界範囲での脅威の評価という国家インテリジェンスの役割が、重要であり、歴史的な文脈での理解が必要であるといいます(宇宙法と同様。平時においても、戦時と同様に攻撃的な能力が、必要であるといいます。これに対する規範は、ジュネーブ条約であって、ハーグ条約ではないです。重要となっている概念の傾向は、介入(Intervention)、産業およびインフラ、間接的、情報のインテグリティであるということができます。国際司法裁判所は、その規定(statute)38条(1)で「国際法に従って裁判することを任務とし、次のものを適用する。法則決定の補助手段としての裁判上の判決及び諸国の最も優秀な国際法学者の学説。しているのですが、規範的なものと積極的な実行とのジレンマがあります。これらのものを明らかにするためには、共通の行為(commonality)を明らかにして、実際の問題となるおそれを明らかにして、ルールを提案することによって発展させる必要があります。Law’というプレゼンです。昨年、CyCONで、すこし話をした英国の大学の先生です。となりに座ったので、覚えている?と聞いたら、覚えていてくれたので、今年は、いろいろとお話をしました。もって、プレゼンも最高です。(なお、以下は、むしろ、セッションペーパーからのまとめになります)このプレゼンのコンセプトは、以下の図であらわすことができます。Lauterpacht卿の「戦争法は、国際法の消失点である」という言葉に由来します。サイバーセキュリティを検討していくのに際して、ミリタリアプローチから、その外側へと考察が広がっていくことになります。すると、国際法の概念のなかに、いままでの議論が溶けていくような感覚を示している言葉だと理解しました。(teleological)から、観察することができるとしています。システム的次元というのは、もともとは、国際法は、戦時の法と、平時の法を峻別するというのでできています。サイバー作戦に対する国際法の検討は、もともとは、戦時の法に関してなされてきています。タリンマニュアルが、戦時の法を主たる領域として、考察していたのは間違いない事実になります。ある意味、米国のミリタリ・プロジェクトを反映していたのです。ところが実態は、当然に、武力攻撃の閾値にいたる攻撃は、ほとんど考察しがたいのです。問題に考察の重点が移ってきました。タリン2.0の重点の移行は、まさにこの次元からのものということができます。概念的次元というのは、戦時の法から、一般的な国際法へと思想、概念、アプローチの移行を考えることができるということです。国際法におけるサイバー作戦の非物理的な影響に概念化について考えます。文民は、「攻撃」対象には、されないというのが、戦時法の規定になります。これがサイバー作戦において、どのような適用がなされるのか、具体的には、この文民「攻撃」禁止の規範が適用される「攻撃」とは、何をいうのか、という問題があるのです。タリン・マニュアルにいては、機能テストが採用されています。その結果として、この機能テストが一般的な国際法の概念に対しても適用されるようになってきているのです。目的論的(teleological)というのは、戦時の法の規制が、一般の原則にも適合しうるのではないかということです。フランスのTV5への攻撃で、TV5は、12チャンネルにわたって、12時間放送ができなかったのですが、攻撃対象の規制から考えて、違法とすべきではないのか、ということになってきています。主権侵害、違法な干渉行為ということもできますが、かかる規制違反から違法とすることもできるのではないか、ということがいえます。非常に示唆に富むプレゼンかと思います。タリン1.0が「実用的ではないね」というのを、認めた上で、国際法の一般規定とサイバーの関係を明らかにして、今後、戦時の法原則を平時にどのように取り入れるかが、一つのポイントになるだろうということかと思います。デジタル・ジュネーブ条約が、戦時と平時を混ぜてるのではないか、ということを、ここで書いていましたが、ある意味で、今後の国際法とサイバーセキュリティの進む方向として、戦時のルールをもとにした平時のルールの構築ということになるのではないか、というところまで考えさせてくれます。paper)になります。このプレゼンは、国家責任の成立する場合について、国連の国家責任ガイドラインの解釈が、国家実行のなかで、別のテストに移っているのではないか、という提案になります。act)に対して、責任を負うが、それは、(事実上、もしくは、法的に)国の機関がなした行為に対して責任をおうにすぎません。言い換えれば、単純な私人の行為に対しては、責任を負うことはないのです。一定の場合においては、私人の行為が、国家に帰属することがあると解されています。それは、どのような場合かというのが問題である。サイバーについては、私人が、国家機関と同様の作戦を実行することができることから、この国家責任が成立するのは、いつか、という問題が重要とされています。私人の行為が、どのような場合に国家の行為と認識されるかという論点についての従来の判断でもっとも代表的なものは、ニカラグア事件についての国際司法裁判所の事件です。一般的なものとして国連のILC(国際法委員会)による「国家責任条文」があります。この第8条は、「もし、私人またはそのグループが、行為をなすにあたり、実際に、国家の指示もしくはコントロールを受けている場合には、彼らの行為は、国家行為と考えられる」としています。一般には、「効果的コントロール」テストといわれています。generalis)であると認めているのです。specialis)として、「コントロールと能力」テストが採用されているのではないか、と主張しています。「コントロールと能力」というのは、第三者の手法、動機、場所と国家が同様の能力を有しているかで総合判断するというテストといえるようにおもえます(paperでは、明確な定義はない)。breachをこの国家実行としてあげていました。2016/2017については、米国政府の認定は、むしろ、国家機関の行為であるという認定だったはずなので、彼の主張は、法的なものとして、独自ではないか、というように考えています。質疑応答の際にも、不明確なテストで広げるのは、賢明ではない、という立場からの質問がなされました。現在の国際法の立場としては、国家のデューデリジェンスの立場から、国家責任が認められるようになってきているので、むしろ、そちらのほうに、関心が移ってきているのではないか、というようにも思いました。IkuoDay2の午前の部です。夕方には、ディナーもあるし、ある種、ハイライトの日です。Guardtime)による「政府、防衛、そしてブロックチェーン-ハイプを超える?」という講演です。blockchain技術を商品化している会社で、今回のCyCONのスポンサーさんの一つです。アイスブレーカーの会場は、Guardtimeさんのロゴが、舞っていました。サイバーセキュリティを考えるときに、正確な記録プロセスをインテグリティをもって行うこと、それには、ハッシュ値が有効になります。FireEyeのレポートによると、企業は、侵入を受けてから、それに気がつくまで、205日ほどかかってしまう。同社は、2008年春から、政府の仕組みに導入をなし、2012年からは、すべての重要なデータをブロックチェーン技術を用いて、記録するサービスを開始しました。Ruubel氏によると、ロッキードマーチン社においても利用されており、ブロックチェーンは、軍をブロックチェーンに乗せるものではなく(NOT)、ネットーワーク、システムとデータのインテグリティを確保するものであり(IS)、既に、利用可能である(READY)であるものです。Inc.のCEOで、脆弱性開示およびバグ・バウンティの専門家です。私は、IPAの脆弱性研究会の早期警戒パートナーシップの枠組みづくりに2003年から取り組んでいることもあって、非常に今日にある講演です。Absurd”(実存的危機-不合理の劇場)です。テスト、バグバウンティについて説明します。英国の脆弱性コーディネーション・パイロットのアドバイザを務めており、そのパイロットプログラムで協力したというアナウンスは、こちらになります。講演終了後に、彼女と日本の脆弱性の早期警戒パートナーシップのことを参考にしているだろうということを聞きました。昨年、日本とも情報交換をしているという趣旨の話をしていました。なんと、カラオケファンとのことで、ぜひとも日本であいたいね、そのときは、西麻布に連れて行くよ、という約束をしました。このブログで、たびたび紹介しているタリン2.0の発表パネルでもふれられた内容がメインでした。平時の法をも対象にしており、総合的な性格を有している。ロシアの近時の動向は、タリン2.0においても、いまだ明確な解釈が与えられていない論点によるものであって、非常に「賢明」な行動ということがてできるであろう。ハック(DNCハック)は、その意味で、非常に賢明なものであった、とい評価される。攻撃者特定(アトリビューション)も難しい問題である。法の合理的判断によるが、2007年のエストニア・ロシア問題のように難しい問題である。インテリジェンスも利用した、事実問題ということになる。政治のレイヤーになり、政治家が入ってくる。国家責任も問題となり、規範に同意するものも国家である。小国家もステップに入ってくることができる。国家がスタートということになる。Threatsでした。パネリストからは、ボットネットの話、IoTデバイスの話、ハックバックの話などがでました。ハックバックという用語が、きわめて、感覚的に使われているような気がして、個人的には、あまり、真剣に聞けませんでした。いうことで、詳しくは、スルーということでご容赦のほどを。いうことで、お昼となりました。Activities”を、前の2列目あたりで、聴講しました。マイク・シュミット教授とは、2015年のブートキャンプで、特訓を受けたこともあって、顔なじみという感じになりました。挨拶したときに、タリン2.0の出版パネルは、すごい面白かったです、と感想を述べて挨拶しました。Buchanさんのモデレートによるユス・イン・ベロに関するセッションです。Hostilities)’の発表です。ここにあるのですが、どの部分を指しているかは、よくわかりませんでした)、人的コストのかかること、民間インフラの脆弱なこと、相互接続性の問題を基本的に懸念しているということです。ここで問題となるのは、「両用」の対象の問題です。(文民は、攻撃の対象としてはいけないとされていますが)、タリンマニュアル2.0では、101で、両用の場合は、軍事対象となるとされています。冗長性とレジリエンスが考慮されるべきであるとされます。文民対象物に対する偶発的な危害は、許容されることになり、無差別攻撃の禁止と事前通告が、実際の要件ということになります。現在は、国際人権法が適用されるかどうかではなくて、どのように適用されるかという問題であるということができるでしょう。ウクライナの電力発電所に対する攻撃作戦は、適用がなされることになります。医療等のデータは、どうか、ということになります。タリン2.0では、ルール100で、データは、対象ではないとされています。いうことは、作戦の対象になりうるということです。サイバーウエポンという用語についての定義はありますが、運動(kinetic)兵器よりは、標準化されているとはいえません。これに対して、質疑応答で、シュミット教授から、基本的な民間インフラに対する特別の保護についての質問(というか解説)がありました(シュミット先生自体は、この説をとっていなかったような気がします)。「基本的な」とは何か、ということなのですが、それは、特別な保護を要するのは何か、という問題に戻るというようなやりとりがなされました。objectives」、で明らかにされているとのことです。基本的には、論点として、対象のmateriality、Qualification、Specificityが問題となります。materialityは、仮想化・インテグリティ・データが問題となります。52条(2))Specificityについては、紛争当事者がどの程度まで、特定すべきなのか(具体的には、コードなのか、コンポーネントか、システムか、ネットワークか)という問題があるということです。paper)として論考集に採録されています。マニュアル、が参考になります。参加とされると、この間は、そのものが文民として受けている直接の攻撃からの保護(上述のように文民は、攻撃の対象としてはいけないとされています)を受けなくなります。farmer、夜は、fighter)の問題がありえます。具体的には、攻撃を自動コントロールにすることができ、また、将来のポイントを起動するポイントにすることができます。時間を指定するロジックボムも使えるのです。この考えられる時間枠を延長することを提案しています。いうことで、休憩をはさんで、後半になります。Sivan-Sevillaさんの講演からです。Idoさんとは、前日、アイスブレーカー懇親会の場所がわからなくて、すこし話していたところ、イスラエルから来たんだと話していたので、Kerenさんを日本に呼んだんだよ、とかいって、いろいろと話すようになりました。サイバーセキュリティの観点から、プライバシー保護と、それを弱化する動きから、具体的な動向を分析するプレゼンテーションでした。非常に興味深い分析でした。このプレゼンは、今回のCyCONでも、一番、興味を持ちました。バルクによる監視が許されるのか、それを国際人権法の観点から考えるというものでした。Rights)8条です。Act136条(3))。この峻別が許されるのか、というのが彼女の問題提起です。これに関しては、英国においては、捜査権限審判所におけるいくつかの判断がでています。(2016)があります。出生又は他の地位等によるいかなる差別もなしにこの規約において認められる権利を尊重し及び確保することを約束する。testの採用を主張)。実際に、解釈論としても、バルクの国際通信の傍受を違法とした、英国の審判所の判断があるということです。これらについては、また、おって詳細に研究したいとおもっています。このプレゼンに対して、海外の通信に対するインテリジェンスは、国際法的には、違法にはならないのではないかという質問がなされました。Elizaさんの回答は、国際人権法的には、違法になるのだ、という主張をしていました。個人的には、国際法的な理論と、特別法とでもいうべきICCPRの衝突なのか、また、ICCPRは、それ自体で権利を制限するのか、という論点があるなあと考えました。難しい論点かもしれません。個人的には、彼女は、法律専門家ではないようですし、PIのポジショントークに終始していた印象だったので、スルーしました。いうことで、午後の部は、終了。CyCONの法律の部は、面白いです。安定のクオリティですね。夕御飯は、タリンのタウンホール前のレストランで、地元のSakuビールを飲みながら、お食事。daysなので、8時からは、楽団の演奏が始まりました。そのあとは、バンドの演奏。楽団の演奏は、ゆったりとレストランでビールを飲みながら聞いていましたが、バンドの演奏は、ちょうど帰ろうとおもっていた時だったので、真ん前で、青空の下、ディスコ状態で、45分くらい踊りました。この時期のタリンの一つの楽しみです。